Jasper Nuyens, der Gründer der Organisation Linux Belgium, der eine Erweiterung für die Nutzung von Linux im Informationssystem von Tesla-Autos entwickelt hat, hat einen einfachen Weg vorgeschlagen, um die Angriffsfläche des Linux-Kernels zu verringern und die Wahrscheinlichkeit einer Kompromittierung angesichts des Anstiegs gefährlicher Schwachstellen durch AI zu reduzieren. Da viele Schwachstellen in der Regel in spezifischen Kernelmodulen gefunden werden, die für den Autostart verfügbar sind, aber normalerweise von den meisten Nutzern nicht verwendet werden, schlägt Jasper vor, standardmäßig nicht verwendete Module in der aktuellen Systemkonfiguration oder allgemein selten verwendete Module zu blockieren.
Im Kernel sind mehrere tausend Module verfügbar, aber in den meisten Systemen werden nur einige Hundert verwendet, während die übrigen weiterhin zum Laden verfügbar sind und potenziell Schwachstellen enthalten können. Die Idee wird durch das Skript ModuleJail umgesetzt, das die Liste der in der aktuellen Systemkonfiguration verwendeten Module (über /proc/modules) bestimmt und automatisch nicht verwendete Module auf die schwarze Liste setzt. Das Skript ist in Shell geschrieben, verwendet gängige Systemutools (busybox genügt) und wird unter der GPLv3-Lizenz verbreitet.
Das Skript unterstützt die Ausführung unter Debian, Ubuntu, RHEL, Fedora, SUSE, AlmaLinux, Rocky Linux, Alpine und Arch Linux und generiert in Folge seiner Ausführung die Datei /etc/modprobe.d/modulejail-blacklist.conf, die systemintern zur Deaktivierung des automatischen Ladens von Kernelmodulen verwendet wird. Ein solcher Ansatz schützt proaktiv Ihr System, ohne dass spezielle Kernelmodule oder zusätzliche Hintergrundprozesse zur Überwachung des Systems erforderlich sind.
Falls erforderlich, haben Benutzer die Möglichkeit, Module zur Whitelist hinzuzufügen, die derzeit nicht geladen sind, aber potenziell in Betrieb verwendet werden können. Außerdem stehen Profile zur Verfügung, die die Nutzung der dringend benötigten Module für typische Anwendungen des Systems zulassen. Vorgeschlagen werden die Profile „minimal“ (nur die wichtigsten Module und grundlegende FS), „konservativ“ (+ gängige Treiber für Server und virtuellen Maschinen) und desktop (+ Treiber für WiFi, Bluetooth, Audio und Video).
Quelle: opennet.ru
